Издаден е системата за самостоятелни пакети Flatpak 1.18.0

След една година и половина разработка, публикувана е новата стабилна версия на инструмента Flatpak 1.18, предоставяща система за изграждане на самодостатъчни пакети, независими от определени дистрибуции на Linux и изпълнявани в специален контейнер, изолиращ приложението от останалата част на системата. Подкрепата за изпълнение на Flatpak пакети е осигурена за Fedora, CentOS, Debian, Arch Linux, Gentoo, Linux Mint, Alt Linux и Ubuntu. Flatpak пакетите са включени в хранилището на Fedora и се поддържат от стандартните приложения за управление на софтуер GNOME и KDE.

Ключови нововъведения в версия Flatpak 1.18:

• Реализирана е подкрепа за условни разрешения (conditional permission), позволяващи при искане на разрешения да се провери наличието на определени възможности в системата или в средата на изпълнение (runtime). Например, при необходимост от достъп до входно устройство вместо „—device=all“ може да се поиска разрешение „—device-if=all:!has-input-device —device=input“, което ще предостави достъп само до входните устройства или ще се върне към достъпа до всички устройства, ако селективното предоставяне не се поддържа в средата на изпълнение. По аналогичен начин може да се поиска достъп до USB устройства („has-usb-device“ и „has-usb-portal“) или споделени подсистеми.
• Разрешен е достъпът до устройството /dev/ntsync за достъп до
  модула на ядрото NTSYNC, който реализира набор от примитиви за синхронизация, използвани в ядрото на Windows NT и позволяващи значително повишаване на производителността на Windows игрите, стартирани с помощта на Wine.
• За GPU Intel Xe е включена поддръжка на API VA-API за хардуерно ускорение на декодирането на видео.
• Реализирана е възможност за достъп до устройството /dev/kfd (Kernel Fusion Driver) с използване на разрешения, предоставяни за DRI устройства. Драйверът kfd реализира интерфейс за директно изпълнение на изчисления на GPU AMD от приложения, използващи AMD ROCm, HIP и OpenCL.
• Добавена е поддръжка за използване на опции от командния ред за проброс на достъп до директории в изолирани приложения.
• Добавена е поддръжка за директорията „preinstall.d“, определяща списъка с предварително инсталирани Flatpak приложения (за включване на Flatpak приложения в операционната система).
• Разрешена е директна инсталация на приложения от контейнери в OCI формат, които могат да се зареждат от собствени OCI хранилища и локални архиви.
• В командата „flatpak install —from“ е добавена поддръжка за URI „flatpak+https://“.
• Към командата «flatpak run» е добавена опция «—clear-env» за изчистване на променливите на средата преди стартиране на приложението.
• Предоставена е възможност за експортиране на кореновата директория на хост-околната среда в изолирана среда на приложението с достъп чрез директорията /run/host/root.
• Добавена е възможност за извеждане на резултата от изпълнението на командите в JSON формат.
• Засилена е изолацията на средата за изграждане - командата «flatpak build» вече не предоставя достъп до хоста по подразбиране.
• Добавена е команда «reinstall» за преинсталиране на зависимостите (bundle).
• Настройките на D-Bus по подразбиране са преместени от директорията /etc в /usr.
• Скратено е времето за стартиране при използване на командния интерпретатор fish.
• В libflatpak е добавена функция за получаване на информация за времето на създаване на конфигурацията, която позволява на приложенията, като GNOME Software, да определят, че кешираните им данни изискват обновление.
• Премахната е опцията за изграждане http_backend, вместо libsoup2 за зареждане по HTTP/HTTPS е активирана библиотеката libcurl.
• По подразбиране е включено използването на escape-последователности за индикация на напредъка при изпълнение на операция.
• Разрешено е предаване на права за достъп до устройствата във вложени sandbox-околни среди, създадени чрез порталите на Flatpak.
• За приложения, предоставяни под формата на OCI образи, е реализиран механизъм «extra-data», позволяващ например организиране на възпроизвеждането на видео h.265 в Flatpak пакетите на Fedora Linux.
• Добавена е поддръжка за компресиране на зависимости (OCI bundle) с използване на алгоритъма zstd, който по-ефективно компресира данните. По подразбиране все още се използва gzip за компресиране, осигуряващ максимална съвместимост.

Flatpak опростява разпространението на програми, които не са включени в стандартните хранилища на дистрибутивите, благодарение на подготовката на един универсален контейнер, който освобождава разработчиците от необходимостта да създават отделни версии за всеки дистрибутив. На потребителите, притесняващи се за сигурността, Flatpak предоставя възможност да изпълняват съмнителни приложения в контейнер, като дават селективен достъп само до необходимите мрежови функции и файлове на потребителя. На потребителите, които се интересуват от новини, Flatpak позволява инсталирането на най-новите тестови и стабилни версии на приложенията без необходимост от промени в системата. Например, Flatpak пакети се събират за LibreOffice, GIMP, Inkscape, Kdenlive, Steam, 0 A.D., Visual Studio Code, VLC, Slack, Telegram Desktop, Android Studio и др.

За намаляване на размера в пакета се включват само специфични за приложението зависимости. Основните системни и графични библиотеки (GTK, Qt, библиотеки GNOME и KDE и т.н.) се предлагат под формата на подлежащи типови runtime среди. Ключовото отличие на Flatpak от Snap е, че Snap използва компоненти на основната система и изолация, базирана на филтриране на системни повиквания, докато Flatpak създава отделен от системата контейнер и работи с големи набори runtime, предоставяйки като зависимости не пакети, а типови системни среди (например, всички библиотеки, необходими за работа с приложения на GNOME или KDE).

Освен типовата системна среда (runtime), инсталирана чрез специално хранилище, се предлагат допълнителни зависимости (bundle), които са необходими за работата на приложението. В комбинация „runtime“ и „bundle“ образуват съдържанието на контейнера, като „runtime“ се инсталира отделно и се свързва с няколко контейнера, което позволява избягването на дублирането на общите за контейнерите системни файлове.

В една система могат да бъдат инсталирани няколко различни «runtime» (GNOME, KDE) или няколко версии на едно и също «runtime» (GNOME 50, GNOME 49). Контейнерът с приложението като зависимост използва свързване само с определен «runtime», без да отчита отделните пакети, формиращи избрания «runtime». Всички липсващи елементи се пакетирани непосредствено заедно с приложението. При създаването на контейнер, съдържанието на «runtime» се монтира като раздел на /usr, а «bundle» се монтира в директорията /app.

Начинът на създаване на «runtime» и контейнерите на приложенията е реализиран с технологията OSTree, при която образът атомарно се обновява от Git-подобно хранилище, позволяващо прилагането на методи за контрол на версиите към компонентите на дистрибуцията (например, системата може бързо да бъде върната в предишно състояние). RPM-пакетите се транслират в репозитория OSTree с помощта на прослойка rpm-ostree.

Изборното инсталиране и обновление на пакети в работната среда не се поддържа — системата се обновява не на ниво отделни компоненти, а изцяло, атомарно променяйки своето състояние. Предоставят се средства за инкрементално прилагане на обновления, които елиминират необходимостта от пълна подмяна на образа при всяко обновление.

Създадената изолирана среда не зависи от използвания дистрибутив и при подходящи настройки на пакета няма достъп до файловете и процесите на потребителя или основната система и не може да осъществява пряк достъп до оборудването, освен чрез изход през DRI. Изходът на графиката и организацията на входа се реализират чрез протокола Wayland или чрез пренасочване на сокета X11. Взаимодействието с външната среда е построено чрез системата за обмен на съобщения DBus и специален API Portals.

За изолация се използва прослойка Bubblewrap и традиционни за Linux технологии за контейнерна виртуализация, основани на използването на cgroups, пространства от имена (namespaces), Seccomp и SELinux. При създаването на пакет, изолацията може да бъде деактивирана, което разработчиците на някои пакети използват, за да получат пълен достъп до файловата система и всички устройства в системата.

Източник: opennet.ru